Ich suche nach einer sehr kleinen verlorenen Datei, die durch eine andere mit genau demselben Namen und derselben Größe ersetzt wurde. Ich weiß nicht, ob die Originaldatei physisch überschrieben wurde oder nicht, es hängt mit dem Betriebssystem zusammen. Die Zieldatei hat eine Größe von 970 Bytes, ihr Typ ist privat; sie ist keiner der bekannten Typen und hat keine der bekannten Signaturen. ABER ich kenne einige ihrer Inhalte als Hex- oder Textsequenzen.
Wie kann ich mit WinHex versuchen, die Originaldatei wiederherzustellen, falls sie nicht physisch überschrieben wurde?
Antwort1
Vorausgesetzt, es wird nicht physisch überschrieben, besorgen Sie sich einen Hex-Editor und suchen Sie darin nach einer Entsprechung eines bekannten Werts.
Sie sollten es am Speicherort der aktuellen Datei und an einem früheren Speicherort finden, an dem es zuvor vorhanden war (vorausgesetzt, es wurde kein OVRW ausgeführt). Überprüfen Sie nun anhand des gefundenen Textes und der vorhandenen Datei, wo es beginnt und wo es endet, kopieren Sie alles in eine neue Datei und speichern Sie es. Das sollte Ihre Datei sein.
Ich habe diese Methode getestet und sie funktioniert gut bei kleinen Dateien, die nicht fragmentiert sind. Gemessen an der Dateigröße kann sie nicht fragmentiert sein, also haben Sie vielleicht Glück.
Antwort2
Ich befürchte, dass es nicht möglich ist, eine Datei wiederherzustellen, die durch eine andere mit genau demselben Namen und derselben Größe ersetzt wurde. Das wäre, als würde man in den Sand schreiben, den Bereich dann auswischen und dann durch eine neue Schrift (Text) ersetzen.
Winhex ist ein extrem leistungsstarker Hexadezimal-Editor und kann zum Wiederherstellen gelöschter Dateien verwendet werden. Sie können vielleicht versuchen, Data Carving zu verwenden, wenn Sie die Dateisignatur der überschriebenen Datei kennen. Alles Gute